Personuppgiftsbiträdesavtal

1. Parter och avtalets ingående

Detta avtal ingås mellan två parter. Personuppgiftsansvarig är det bolag eller den andra juridiska person för vars räkning en organisation har skapats i tjänsten (”Kunden”). Personuppgiftsbiträde är Addable Labs AB, organisationsnummer 559602-2615, momsregistreringsnummer SE559602261501, med säte i Eslöv (”vi” eller ”oss”).

Avtalet godkänns av den som skapar organisationen. En ny version av avtalet kan godkännas av organisationens ägare i tjänsten; i annat fall gäller punkt 15. Den som godkänner intygar därigenom sin behörighet att ingå avtal i Kundens namn. Enligt artikel 28.9 i dataskyddsförordningen ska avtalet vara skriftligt, vilket innefattar elektronisk form. Godkännandet, den version som godkändes och datumet registreras och lämnas ut på begäran; begäran ställs till support@fluentor.se.

Detta avtal utgör en del av avtalet mellan Kunden och oss enligt användarvillkoren. Vid motstridighet mellan användarvillkoren och detta avtal i fråga om behandling av personuppgifter har detta avtal företräde.

Meddelanden till Kunden enligt detta avtal skickas via e-post till den adress som är registrerad för organisationens ägare. Meddelanden till oss skickas till support@fluentor.se.

2. Personuppgiftsansvarig och personuppgiftsbiträde

En medlems självskattning upprättas i medlemmens konto i organisationen och är inte tillgänglig för Kunden förrän medlemmen skickar in den; dessförinnan ansvarar vi för den i förhållande till medlemmen. När medlemmen skickar in självskattningen till organisationen är Kunden personuppgiftsansvarig för den behandling som sker för Kundens räkning – att självskattningen görs tillgänglig för cheferna över medlemmen och för ägaren enligt användarvillkoren, om inte Kunden där har valt att ingen ser resultat, ingår i sammanställda resultat, jämförs med målnivåer samt att sammanställda resultat och uppgift om huruvida medlemmen har skickat in en självskattning, men aldrig medlemmens enskilda svar eller nivåer, lämnas ut via tjänstens API – och för de uppgifter som Kunden själv lägger in, såsom vilka som bjuds in, vilken roll och vilket team varje person har, rapporteringsvägar och målnivåer. Vi utför den behandlingen som Kundens personuppgiftsbiträde.

Vi är självständigt personuppgiftsansvariga för varje användares inloggning, visningsnamn och inloggningstidpunkter, för användarens privata konto och för självskattningar som användaren inte har skickat in till organisationen, eftersom det förhållandet gäller direkt mellan oss och användaren oavsett om användaren tillhör Kundens organisation. Den behandlingen regleras av integritetspolicyn och inte av detta avtal. En medlem kan även ha konton i andra organisationer; Kunden har inte åtkomst till dem eller till medlemmens privata konto.

Kunden ansvarar för att det finns en rättslig grund för behandlingen, för att informera de registrerade enligt artiklarna 13 och 14 i dataskyddsförordningen och för att Kundens instruktioner är förenliga med dataskyddsförordningen.

3. Föremål, varaktighet, art och ändamål

Föremål: tillhandahållandet av tjänsten nivå till Kunden.

Varaktighet: så länge Kundens organisation finns i tjänsten, samt under de perioder därefter som anges i punkt 11.

Art och ändamål: insamling av självskattningssvar från Kundens medlemmar, lagring av dem, beräkning av enskilda och sammanställda resultat samt visning av resultaten enligt synlighetsreglerna i användarvillkoren och de inställningar som Kunden väljer, inbegripet tillgängliggörande via tjänstens API för system som Kunden ger behörighet.

4. Typer av personuppgifter och kategorier av registrerade

Kategorier av registrerade: Kundens anställda, uppdragstagare och andra personer som Kunden bjuder in till organisationen.

• Identitets- och organisationsuppgifter: e-postadress och visningsnamn så som de visas inom organisationen, team, roll i organisationen, rapporteringsväg, datum för anslutning och avslut samt e-postadresser till personer som har bjudits in.
• Självskattningsuppgifter: vilken nivå från 1 till 5 som har valts inom varje område, vilken version av mognadsmodellen och vilken roll svaren avser, datum för slutförande samt om och när självskattningen har skickats in till organisationen.
• Uppgifter som visas för cheferna över medlemmen och för ägaren, om inte Kunden har valt att ingen ser resultat: nästa steg som har valts utifrån ett inskickat resultat samt områden som har markerats som blockerade, med den motivering som har angetts.
• Härledda uppgifter: enskilda och sammanställda mognadsindex, utveckling över tid och avstånd till målnivå.

5. Inga särskilda kategorier av personuppgifter

Tjänsten är inte avsedd för behandling av särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen – såsom uppgifter om hälsa, etniskt ursprung, fackföreningsmedlemskap, övertygelse, sexuell läggning eller biometriska uppgifter – eller av personuppgifter som rör lagöverträdelser enligt artikel 10. Alla formuleringar i självskattningen tillhandahålls av oss och kan inte ändras av Kunden. Ingen fråga i tjänsten efterfrågar sådana uppgifter. Fritextfält i tjänsten, såsom kommentarer och motiveringar, är inte avsedda för sådana uppgifter. Kunden ansvarar för uppgifter som Kunden på annat sätt låter samla in.

6. Behandling endast enligt Kundens instruktioner

Vi behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner, inbegripet i fråga om överföringar till tredjeland. Detta avtal, användarvillkoren och Kundens val av inställningar i tjänsten utgör Kundens instruktioner. Vi behandlar inte personuppgifterna på annan grund, om det inte krävs enligt unionsrätten eller enligt medlemsstaternas nationella rätt som vi omfattas av; i så fall informerar vi Kunden om det rättsliga kravet innan behandlingen, såvida sådan information inte är förbjuden enligt den rätten.

Kunden instruerar oss att radera de personuppgifter om en medlem som vi behandlar för Kundens räkning när medlemmens inloggning, med alla medlemmens konton, raderas, oavsett om det sker på medlemmens eller vår begäran.

Om vi anser att en instruktion strider mot dataskyddsförordningen eller mot annan dataskyddslagstiftning informerar vi Kunden omedelbart.

7. Konfidentialitet

Vi säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. Åtkomst till personuppgifterna är begränsad till personer som behöver den för att driva tjänsten eller lämna support. Åtkomst till de administrativa verktygen är begränsad till namngiven personal genom en särskild behörighetslista och kan återkallas när som helst.

8. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen. Bland annat styrs åtkomsten till uppgifterna av behörighetsregler på radnivå i databasen, som är utformade så att ett fel i applikationen inte ska kunna göra en organisations uppgifter tillgängliga för en annan; inskickade självskattningar kan inte ändras, vilket upprätthålls i databasen; uppgifterna krypteras vid överföring och vid lagring; inloggning sker med engångslänk via e-post och inga lösenord lagras; och snittvärden visas bara för organisationens ägare och för chefer, aldrig för andra medlemmar. Har Kunden valt att ingen ser resultat visas de för ingen. Snittvärden som omfattar personer utanför en chefs egna team visas bara som ögonblicksbilder som uppdateras först när minst tre sådana personer har ändrat sina svar.

Ett snittvärde över få personer kan avslöja en enskild persons nivå för någon som annars inte ser personens resultat, direkt eller genom att följa snittvärden över tid; risken beskrivs i vår konsekvensbedömning. Databasen säkerhetskopieras dagligen av vår driftleverantör och en säkerhetskopia sparas i sju dagar; personuppgifter som har raderats kan därför finnas kvar i en säkerhetskopia i upp till sju dagar. Vi utfäster inte att personuppgifterna kan återställas till en viss tidpunkt.

Åtgärderna beskrivs närmare i vår registerförteckning, som vi lämnar ut på begäran.

9. Underbiträden

Kunden lämnar ett allmänt skriftligt förhandstillstånd till att vi anlitar underbiträden. De underbiträden som anlitas anges i integritetspolicyn, med uppgift om vad vart och ett gör, var behandlingen sker och med stöd av vilken grund uppgifter överförs utanför EU/EES. Varje underbiträde är genom avtal med oss bundet av skyldigheter i fråga om dataskydd som uppfyller kraven i artikel 28 i dataskyddsförordningen. Vi är fullt ansvariga gentemot Kunden för att underbiträdet fullgör sina skyldigheter.

Vi informerar Kunden genom e-post till organisationens ägare senast 14 dagar innan ett nytt underbiträde, tillagt eller i stället för ett annat, börjar behandla Kundens personuppgifter, eller ett befintligt underbiträde börjar överföra dem utanför EU/EES, med uppgift om vad underbiträdet gör, var det behandlar uppgifterna och med stöd av vilken grund en eventuell överföring sker. Kunden kan inom denna tid invända av sakliga skäl som rör dataskydd genom att skriva till support@fluentor.se. Kan invändningen inte lösas får Kunden säga upp avtalet i den del det avser den berörda behandlingen, utan kostnad och utan omprissättning enligt användarvillkoren. När ett av våra underbiträden meddelar oss en ändring av sina egna underbiträden vidarebefordrar vi meddelandet till organisationens ägare utan dröjsmål; ger underbiträdet oss kortare tid än 14 dagar meddelas Kunden samma dag som vi.

10. Bistånd till Kunden

Med beaktande av behandlingens art bistår vi Kunden genom lämpliga tekniska och organisatoriska åtgärder, i den mån det är möjligt, så att Kunden kan fullgöra sin skyldighet att besvara begäranden om utövande av de registrerades rättigheter. En medlem kan själv när som helst ladda ned sina egna uppgifter.

Vi bistår också Kunden med att se till att skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen – säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd – fullgörs, med beaktande av behandlingens art och den information som vi har tillgång till. Vår egen konsekvensbedömning lämnas ut på begäran.

Om vi får kännedom om en personuppgiftsincident som rör personuppgifter som vi behandlar för Kundens räkning underrättar vi organisationens ägare via e-post utan onödigt dröjsmål och, om möjligt, inom 48 timmar från det att vi fick kännedom om incidenten, med den information som anges i artikel 33.3 i dataskyddsförordningen i den mån den finns tillgänglig. Vi kompletterar underrättelsen när ytterligare information blir tillgänglig. Beslut om anmälan till tillsynsmyndigheten och om information till de registrerade fattas av Kunden som personuppgiftsansvarig.

11. Radering och återlämnande

När tillhandahållandet av tjänsten upphör raderar eller återlämnar vi, enligt Kundens val, de personuppgifter som vi behandlar för Kundens räkning. Varje medlem kan när som helst ladda ned sina egna uppgifter. Återlämnande av organisationens uppgifter i sin helhet sker på begäran, i maskinläsbart format, inom 30 dagar.

Borttagning av en organisation genomförs av oss efter skriftlig begäran från organisationens ägare, så att begäran och dess genomförande dokumenteras. Vi genomför borttagningen inom 30 dagar från begäran och raderar därvid organisationens uppgifter – medlemsförteckning, team, rolltilldelningar, målnivåer, inställningar, inbjudningar och sammanställda resultat – utom i den mån unionsrätten eller medlemsstaternas nationella rätt kräver lagring. Den räkenskapsinformation som vi bevarar enligt bokföringslagen (1999:1078) avser Kunden och innehåller inga uppgifter om Kundens medlemmar.

När organisationen tas bort upphör all behandling för Kundens räkning. Kunden har då inte längre åtkomst till medlemmarnas självskattningar. Kunden instruerar oss att medlemmarnas självskattningar, när organisationen tas bort, inte raderas utan finns kvar hos respektive medlem, i medlemmens privata konto, utan koppling till organisationen. Kunden instruerar oss också att inte spara någon kopia för Kundens räkning. Därefter behandlar vi dem som personuppgiftsansvarig i förhållande till medlemmen enligt integritetspolicyn. När en medlems inloggning raderas raderas medlemmens självskattningar med den.

12. Information och granskning

Vi ger Kunden tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 i dataskyddsförordningen har fullgjorts och möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av Kunden eller av en annan revisor som Kunden har bemyndigat. I första hand besvarar vi en begäran med vår registerförteckning, vår konsekvensbedömning och våra skriftliga rutiner. Granskning på plats kan begäras en gång per tolvmånadersperiod, med 30 dagars varsel och på Kundens bekostnad. Granskningen får inte äventyra konfidentialiteten eller säkerheten för andra kunders uppgifter.

13. Överföring till tredjeland

Personuppgifter överförs till eller görs åtkomliga från länder utanför EU/EES endast av de underbiträden som anges i integritetspolicyn, i den omfattning och med stöd av den grund som anges där för vart och ett av dem: ett beslut av Europeiska kommissionen om adekvat skyddsnivå (artikel 45 i dataskyddsförordningen) eller de standardavtalsklausuler som kommissionen har antagit genom beslut (EU) 2021/914 (artikel 46.2 c i dataskyddsförordningen). En kopia av skyddsåtgärderna lämnas ut på begäran. En ny överföring meddelas enligt punkt 9.

14. Begränsningar i användningen av resultat

Denna punkt är en begränsning för Kunden som personuppgiftsansvarig. Ett resultat i tjänsten är en självskattning: en persons egen beskrivning av sitt sätt att arbeta, lämnad i utvecklingssyfte. Det är inte ett mått på prestation och inte ett bevis på kompetens.

Kunden får inte använda resultat, enskilt eller sammanställt, som underlag för beslut om en persons anställning, såsom rekrytering, befordran, lönesättning, prestationsbedömning, disciplinära åtgärder eller uppsägning. Kunden får inte framställa deltagandet som obligatoriskt om Kunden har upplyst de berörda om att deltagandet är frivilligt. Behandlar Kunden resultat för egna ändamål utöver tjänsten sker det på Kundens eget ansvar som personuppgiftsansvarig. Kunden ska då ha en egen rättslig grund och informera de registrerade.

15. Giltighetstid, ändringar och ansvar

Detta avtal träder i kraft när det godkänns och gäller så länge vi behandlar personuppgifter för Kundens räkning. Bestämmelser som till sin natur är avsedda att gälla efter avtalets upphörande fortsätter att gälla.

Vi får ändra detta avtal när lagstiftningen eller tjänsten förändras. En ny version gäller från den dag den publiceras här för en Kund som godkänner avtalet efter den dagen. För en befintlig Kund börjar en väsentlig ändring gälla tidigast 30 dagar efter att vi har meddelat organisationens ägare via e-post, om inte ägaren dessförinnan godkänner den nya versionen för Kundens räkning i tjänsten; till dess gäller den tidigare versionen. Godtar Kunden inte en ändring får Kunden säga upp avtalet med verkan från den dag då ändringen börjar gälla för Kunden, utan omprissättning enligt användarvillkoren. Rättelser och förtydliganden som inte ändrar parternas rättigheter eller skyldigheter, ändringar enbart till Kundens fördel och ändringar som krävs enligt lag får börja gälla när de publiceras här. Byte och tillägg av underbiträden, inbegripet var de behandlar uppgifter och med stöd av vilken grund de överför dem, meddelas enligt punkt 9 och är inte ändringar enligt denna punkt.

Ansvar regleras i användarvillkoren. Ingenting i detta avtal begränsar någon parts ansvar gentemot en registrerad eller en tillsynsmyndighet enligt dataskyddsförordningen.